Ledger CEO'sundan Eski Mt. Gox Şefi Karpelès'e: Sen Beyaz Şövalye Değilsin, 90 Milyon Dolarlık Cüzdan İmplantları

Karpelès, 6 Mart Tarihli Güvenlik Rehberine İşaret Ediyor

Ledger'ın genel direktörü Pascal Gauthier, eski Mt. Gox patronu Mark Karpelès'e sen beyaz şövalye değilsin dedi. Karpelès, donanım cüzdanı üreticisinin gelişmiş casus implantlarını en geç Mart ayında bildiğini iddia etmişti. Ona göre o dönemde yayımlanan daha net bir uyarı, kullanıcıların 90 milyon doları aşan kaybını önleyebilirdi. Cihaz bütünlüğü üzerine teknik bir tartışma olarak başlayan kavgam, sektörün en görünür halka açık kavgasına dönüştü ve olay raporu yerine açık gönderilerle yürütülüyor.

Tehdidi ortaya çıkaran isim Karpelès'in kendisiydi. Mühürsüz bir Ledger cihazını açtığında içinde gizli bir devre kartı buldu. İmplant, cüzdanın 24 kelimelik Ledger kurtarma anahtarını yakalayıp suçlulara iletebiliyor. O ifade ele geçiren kişinin cihazın koruduğu tüm varlıkları kontrol etmesine yetiyor; çünkü tek bir gizli ifade, cüzdanı her yerde geri yüklemeye imkân veriyor. Bu yüzden anahtar yakalandığında hesaplar, kurbanın zincir üstünde durdurabileceği hiçbir işlem olmadan boşalıyor. Karpelès, Ledger'ın bu incelikte implantları kayıplar artmadan aylar önce bildiğini savunuyor. Delil olarak şirketin kendi sitesinde 6 Mart'ta yayımlanan bir güvenlik rehberini gösteriyor: rehberde hem el yapımı hem seri üretilmiş casus çiplerin görselleri var. Rehber Eylül'de güncellendi, bu da görsellerin gerçekte ne zaman eklendiği sorusunu açık bırakıyor. Daha çarpıcı olan şu: Ledger, cihazın orijinal güvenlik çipi bozulmadan kalmışsa Genuine Check adlı, cihazın orijinal ve değişmemiş gönderdiğini doğrulaması beklenen sürecin implantı tespit edemeyeceğini kabul ediyor.

Gauthier önce bir gönderide Ledger'ın tepkisini savundu ve Karpelès'i gerçeklere bağlı kalmaya çağırdı. Sonra işi kişiselleştirdi ve X'te bir gönderi yazdı: “Mt Gox CEO'sundan geliyor bu... Hadi ama, sen beyaz şövalye değilsin. Ayıl kendine.” Atış, Karpelès'in liderliği sırasında yaklaşık 850 bin Bitcoin'in kaybolduğu 2014'teki Mt. Gox çöküşüne göndermeydi. Karpelès, kendi yaşadıklarının tam da bu yüzden sektörden daha yüksek standartlar beklemesini sağladığını yazarak cevap verdi.

@_pgauthier · X gönderisi

Ledger'ın tepkisini savundu.

X'te görüntüle

Bayi Duraklamaları ve Avrupa'daki Kurcalama Bildirimleri

Kavga, şirketin dağıtım ayağının zaten daralmış olduğu bir döneme denk geldi. Ledger, implant bulgularının ardından CryptoBilis üzerinden bayi satışlarını durdurdu ve adı geçen bir ortağı kanalından çıkardı. Avrupa'da kurcalanmış cihazlara dair bildirimlerin artması, endişenin tek bir cihazın ya da tek bir pazarın ötesine geçmesine yol açtı. Rakip Trezor kendi bayi ağını küçültme adımını attı; bu adım sorunun bir üreticiye özgü değil sektör genelinde görülmesini sağlıyor.

Önemli birikimleri çevrimdışında bir soğuk cüzdan tutan sahipler için tartışma somut bir zayıflığı gün yüzüne çıkardı: orijinal cihaz bile, eline ulaşan ürüne satış öncesi müdahale edilmemiş olduğuna dair garanti vermiyor. Mühürlü kutu artık bütünlük kanıtı olarak okunmuyor ve üçüncü taraf üzerinden alınan bir kripto cüzdanı, bir ay önce taşımadığı bir soruyu şimdi taşıyor. Gelen cevap şimdiye kadar süreç odaklı kaldı. İki üretici de cihazın el değiştirdiği halkaları azaltıyor; bazı sahipler Cypherock X1 cüzdanı gibi alternatifleri değerlendiriyor. Orijinal çipe dokunmayan bir implantı yakalayan bir tespit yöntemi yayımlayan ya da müşteriye ulaşan etkilenen cihaz sayısını açıklayan bir şirket yok.

Zamanlama baskıyı büyütüyor. Şirketin güvenlik rehberindeki Eylül güncellemesi, satın almadan önce riski araştıran bir alıcının zaten revize edilmiş bir sayfayı okumuş olabileceği anlamına geliyor; neyin, ne zaman değiştiğine dair herkese açık bir not yok. Bayiler genelde stoğu toplu alıp yerel mağazalar üzerinden dağıtıyor; Avrupa'daki kurcalama bildirimlerinin izlediği yol da buydu ve iki üreticinin kısmaya başladığı yapı tam olarak bu. Ledger, CryptoBilis stoğunun etkilenip etkilenmediğini söylemedi; Avrupa'daki hiçbir vaka belirli bir sevkiyata bağlanmadı.

Ledger'ın Kendi İtirafı Sınırı Çiziyor

Tartışmanın asıl önemi hakarette değil, iki tarafın da kayda geçirdiği şeyde. Gauthier'in gönderileri şirketin şimdiye kadarki en açık halka açık cevabı ve Ledger'ın Genuine Check ile ilgili itirafı kesin bir sınır çiziyor: orijinal güvenlik çipe dokunmayan bir implant doğrulamayı geçiyor. Karpelès'in önceden bilgi sahibi olduğu iddiasını zeminde tutan belge, Ledger'ın kendi yayımladığı 6 Mart tarihli rehber. Şimdiye kadar yapılan düzeltme tespit değil dağıtım hedefli; her iki üreticide de bayi kırpımı var. Üç madde açıklık bekliyor: işleyen bir tespit yolu, açıklanan bir etkilenen cihaz sayısı ve rehberdeki casus çip görsellerinin ne zaman eklendiğine dair netlik. Bunlar gelene kadar alıcı, doğrudan kanaldan gelen cihazların temiz olduğuna dair yalnızca üreticilerin güvencesine sahip.